Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

攻撃者がメール転送設定を変更、受信した個人情報が外部に - 立命館大

立命館大学が主催する国際研修の応募者に関する個人情報が外部に流出した。フィッシングメールによりアカウント情報が奪われ、受信メールが外部に転送されるよう設定が変更されたという。

歴史都市防災研究所が主催する2018年ユネスコチェア国際研修「文化遺産と危機管理」に、海外から応募した264人分の個人情報が外部へ流出したもの。氏名や所属組織の住所、電話番号、生年月日、性別、現職、学歴、職務経験、国籍などが含まれる。

同大によれば、研修への申し込みを受け付けるために用意したメールアカウントにおいて、4月24日に「未読メールが13通残っている」などと記載されたマイクロソフトの通知を装うフィッシングメールを受信。

同研究所の職員が誤ってメールに記載されたURLへアクセスし、誘導先の「Office365」を装ったページよりアカウント情報を入力してしまったという。

攻撃者は奪ったアカウント情報でログインし、同メールアカウントで受信したメールを外部に転送するよう設定を変更。期間中に、応募者の個人情報リストが添付されたメールや、応募者の参加申請書や履歴書などのメールを同アカウントで受信したことから外部へ不正に転送された。

さらに転送されたメールの一部には、参加申請書や履歴書を保管していたクラウドサービスにおける共有フォルダのURLを記載。パスワードなしに共有フォルダへアクセスできる状態だったため、応募者264人のうち、共有フォルダに保存されていた261人分の参加申請書や履歴書についても取得された可能性がある。

今回の問題を受け、同大では関係者に対して、メールで事情を説明し、謝罪を行った。

また問題のアカウントは、今回の研修用に用意したものであり、不正にログインされたものの、転送されたメール以外の情報漏洩はないと同大では説明。ログから不正なログインは1回のみであることも判明しており、スパムメールを送信するための踏み台などに悪用された形跡もなかったとしている。

(Security NEXT - 2018/05/18 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

学生の個人情報含むPCが海外で盗難被害 - 長岡技術科学大
フィッシング被害でスパム送信、情報流出の可能性 - 東京外語大
マーケ支援サービスのクラウド認証キーが盗難被害 - 不正サーバ構築、顧客データも
職員が自動転送していたフリーメールに不正アクセス、個人情報が流出 - 兵庫教育大
新卒採用アカウントに不正アクセス、スパム送信や個人情報流出など - ダイドードリンコ
学生がフィッシング被害、迷惑メール約29万件の踏み台に - 新潟大
小学校教員が個人情報写り込んだ画像をインスタ投稿 - 港区
Q&AサイトのQuoraに不正アクセス - 利用者情報1億件が流出か
職員メールアカウントに不正アクセス、PWを類推か - 早大
明大、複数メールアカウントに不正アクセス - 情報流出やスパム送信が発生